Reklamer: Nej tak! Hjælp til HiJackThis-log

Jeg kigger på den :-)

Download en nyere version af Hijackthis:
http://danborg.org/spy1/HJT/hijackthis.exe

Download og gem denne scanner på skrivebordet. Du skal ikke aktivere det endnu.
http://www.spywareinfo.dk/download/mwav.exe

Hent SpSeHjfix her:
http://www.derbilk.de/cms/_data/SpSeHjfix_Beta9.zip

Udpak den til sin egen mappe på skrivebordet.

Hent denne lille fil, og pak den ud til skrivebordet:
http://www.fbeej.ctrlaltdel.dk/Programmer/iereg98.zip

Under dette fix, må du ikke have Internet Explorer åben, så det bedste er at printe instruktionen ud - næstbedst at kopiere den over i Notepad, så du kan læse den derfra.

Genstart i Fejlsikret tilstand (uden netværk) ved at taste F8 under opstart.

Kør Hijackthis, scan, sæt flueben ved linierne listet her, luk alle vinduer undtaget Hijackthis, klik på fix checked.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {4B8F7984-88B2-4A63-8DC4-1EADEEC3D1FD} - C:\WINDOWS\SYSTEM\LDFHH.DLL
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O13 - WWW. Prefix: http://
O18 - Filter: text/html - {353B9B60-F49F-40BD-AD6C-69FC88571356} - C:\WINDOWS\SYSTEM\LDFHH.DLL
O18 - Filter: text/plain - {353B9B60-F49F-40BD-AD6C-69FC88571356} - C:\WINDOWS\SYSTEM\LDFHH.DLL

Sletning af filer og mapper:
Åbn en mappe, klik på Funktioner=>Mappeindstillinger=>Vis.
Fjern flueben ved "Skjul beskyttede operativsystemfiler".
Fjern flueben ved "Skjul filtypenavne for kendte filtyper".
Sæt prik i "Vis skjulte filer og mapper".

Slet mapper og filer listet herunder (nogle af dem er muligvis allerede blevet slettet af Hijackthis).
-------------------
Mapper:
<ingen>
-------------------
Filer:
C:\WINDOWS\TEMP\se.dll
C:\WINDOWS\SYSTEM\LDFHH.DLL
C:\WINDOWS\web\related.htm
---------------------------------------
Kør SpSeHjFix - klik på Start Disinfektion, programmet scanner, fjerner og genstarter - lad programmet starte i Normal tilstand. Gem den log, som programmet laver.

Gå herefter i Start -> Programmer -> Tilbehør -> Systemværktøjer -> Diskoprydning og slet temp-filer, temporary internet files og papirkurv.

Klik på mwav.exe som du hentede, programmet pakker sig selv ud og starter.
Sæt flueben i følgende:
Memory, Startup folders, drive, Registry, System folders og Services.
Sæt prik i følgende:
All local drives og Scan all files

Klik på scan clean. Det kan godt tage lang tid (nogle timer), men den er også meget effektiv.

Genstart til normal tilstand. Prøv om du kan komme på nettet med Internet Explorer. Hvis du ikke kan det, så kør iereg.bat som du hentede tidligere. Genstart og se om det har hjulpet.

Lav en HJT med den nye version af programmet, som du sender herind til check, sammen med log'en fra SpSeHjFix..

Hej ejvindh!

Det gik umiddelbart rigtig godt. Internet Explorer ser ud til at virke, som den skal, og jeg får ingen reklamer. Den rundll32, der plejer at dukke op i proces-listen, er der heller ikke længere.

Men da jeg så kører HJT igen, kan jeg se nogle "sp"-linier igen, så jeg er vist ikke færdig endnu.

Her har du HJT-loggen efterfulgt af SpSeHjFix:

Logfile of HijackThis v1.99.1
Scan saved at 13:29:58, on 27-09-05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\IDHELPER.EXE
C:\PCD32\CLIENT32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PCD32\wclientw.exe
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMER\IBM\CLIENT ACCESS\CWBUITSK.EXE
D:\Shiva\MDMUI.EXE
C:\PROGRAMMER\IBM\CLIENT ACCESS\CWBSVD.EXE
C:\WINDOWS\TASKMON.EXE
C:\PROGRAMMER\MOUSE\SYSTEM\EM_EXEC.EXE
C:\LOTUS\SMARTCTR\SUITEST.EXE
C:\PROGRAMMER\KEYEXP\KEYEXP.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SKRIVEBORD\ANTIVIRUS\NYE FILER\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///X:/Medarbejdermapper/mht/doc/start.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = hjoproxy:80
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMER\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmer\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\TOOLS\IESDPB.DLL
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\TOOLS\IESDSG.DLL
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Client Access API Daemon] "C:\Programmer\IBM\Client Access\cwbappcd.exe"
O4 - HKLM\..\Run: [Client Access Check Version] "C:\Programmer\IBM\Client Access\cwbckver.exe" LOGIN
O4 - HKLM\..\Run: [Client Access Help Update] "C:\Programmer\IBM\Client Access\cwbinhlp.exe"
O4 - HKLM\..\Run: [Client Access Service] "C:\Programmer\IBM\Client Access\CwbSvStr.Exe"
O4 - HKLM\..\Run: [Client Access Taskbar] "C:\Programmer\IBM\Client Access\cwbuitsk.exe"
O4 - HKLM\..\Run: [ShivaDialout] d:\Shiva\MDMUI.EXE
O4 - HKLM\..\Run: [Skan registreringsdatabase] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Job-oversigt] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EM_EXEC] c:\PROGRA~1\MOUSE\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [mdac_runonce] C:\WINDOWS\SYSTEM\runonce.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [PC-Duo System Snapshot] C:\PCD32\CLBOOT32.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [NetSupport PC-Duo Client] C:\PCD32\CLIENT32.exe * /CCLIENT32.INI
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\TOOLS\IESDPB.DLL
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.0_03) -
O16 - DPF: {CAFEEFAC-0014-0000-0003-ABCDEFFEDCBA} (Java Runtime Environment 1.4.0_03) -

SpSeHjFix:



(9-27-05 10:50:40) SPSeHjFix started v1.09
(9-27-05 10:50:40) OS: Win98SE A (4.10.67766446)
(9-27-05 10:50:40) Language: dansk
(9-27-05 10:50:52) Disinfect started
(9-27-05 10:50:52) Bad-Dll(IEP): (not found)
(9-27-05 10:50:52) Bad-Dll(IEP) in BHO: (not found)
(9-27-05 10:50:52) Searchassistant Uninstaller found: regsvr32 /s /u C:\WINDOWS\SYSTEM\LDFHH.DLL 
(9-27-05 10:50:52) Searchassistant Uninstaller - Keys Deleted
(9-27-05 10:50:52) UBF: 4
(9-27-05 10:50:52) UBB: 3
(9-27-05 10:50:52) UBR: 16
(9-27-05 10:50:52) Bad IE-pages:
deleted: HKCU\Software\Microsoft\Internet Explorer\Main, Start Page: about:blank
deleted: HKLM\Software\Microsoft\Internet Explorer\Main, Start Page: about:blank
(9-27-05 10:50:52) Stealth-String found: C:\WINDOWS\SYSTEM\LOGIPID.DLL
(9-27-05 10:50:53) File added to delete: c:\windows\system\ldfhh.dll 
(9-27-05 10:50:53) File added to delete: c:\windows\system\logipid.dll
(9-27-05 10:50:53) Reboot
(9-27-05 10:53:41) SPSeHjFix 2nd Step
(9-27-05 10:53:41) RunServicesOnce-Key: (edited)
(9-27-05 10:53:55) Cleaned

Ok, vi prøver lige om vi kan tage resten på denne måde:

Hent Aboutbuster:
http://www.besttechie.net/tools/AboutBuster5.zip
(pak Aboutbuster ud til sin egen mappe på Skrivebordet).

Genstart til fejlsikret

Kør AboutBuster - to gange.
- klik OK
- klik Start og OK for at scanne for Alternate Data Streams
- klik Yes for at tillade nedlukning af Explorer.exe
- klik Yes for at tillade nr. 2 scanning.

Kør HJT, og fix disse linier:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

Genstart herefter til normal tilstand, og se om linierne er blevet fixet. Hvis de ikke er det, så prøv at slå Spywaredoctor fra og gentag proceduren.

Genstart herefter computeren, lav en ny HJT-log, som du lægger herind.

Der er noget galt med AboutBuster.

Når jeg gør, som du skriver, får jeg følgende fejl:

For det første: Når jeg starter AboutBuster, er der ikke en "OK" knap, men en "Update" og en "Begin removal". Jeg trykker på "Update" og den brokker sig, fordi jeg ikke har adgang til netværket, hvor Internettet er tilkoblet. Derfor genstarter jeg i normal tilstand.

Når jeg så klikker på "Update" får jeg fejlen "Run-time error '5'. Invalid procedure call or argument", hvorefter programmet selv lukker ned.

Den sidstnævnte fejlbesked kommer hver gang, jeg nu starter AboutBuster - og jeg kan ikke komme ind i programmet igen.

Jeg har så prøvet at slette programmet og unzippe igen, og ikke opdatere, men trykke på "begin removal" knappen. Dette kørsel tager to sekunder og skriver følgende:

"Streams(ADS) not scanned: System not NTFS. No files found!".

Jeg har dernæst kørt en gammel version 1.31 af AboutBuster, jeg havde liggende. Den kørte i et halvt minut, men fandt ingen fejl.

Hvad nu?

Jeg læser desværre ikke dine svar mellem 16.00 og 8.30.

Prøv at køre fixet uden aboutbuster så.

Iøvrigt: Du skal lige være opmærksom på, at Eksperten.dk er lukket i morgen formiddag nogle timer.

Sådan! Nu er min computer fuldstændig helbredt! (Ligesom Gud helbredte min kollega i sommer.)

Det var lidt sjovt, for de linier, jeg skulle fixe, var slet ikke synlige i HJT, når jeg kørte i fejlsikker tilstand. Nu har jeg fixet dem i normal tilstand og surfet og genstartet nogle gange. Jeg kan ikke få HJT til at vise noget mistænkeligt.

Mange tak for hjælpen og Gud give dig alt, du har brug for!

Morten Steengaard

Dejligt at du fik løst dit problem. Hvis HJT ikke viser noget i hverken normal/fejlsikret tilstand, så kan du tage det roligt. Så var det bare rester, som kunne fjernes ved et simpelt HJT-fix.

For at gøre arbejdet helt færdig: Det er en god ide at skjule systemfiler og -mapper så du ikke ved en fejl kommer til at slette en vigtig fil. Det gør du samme sted, hvor du satte det til at vise alle filer, denne gang vælger du bare: Vis ikke skjulte filer og mapper.

Du kan også rense browser cachen (hvis du bruger IE-explorer)
1. Klik på Funktioner - Internetindstillinger
2. Under midlertidige filer, klik på Slet cookies
3. Under midlertidige filer, klik på slet filer – sæt flueben i slet alt offline indhold
4. Under Oversigten, klik på ryd oversigten
5. Klik på ok.
Tøm din papirkurv.
---------------------------

For at forhindre gentagelser, vil jeg anbefale dig at lægge nogle små programmer ind, som forhindrer spyware i at komme ind i første omgang. Som minimum vil jeg anbefale at lægge Spywareguard, Spywareblaster og IE-spyad ind. Alle programmer kan du finde links til herfra:
http://www.spywarefri.dk/manualer/sikkerhedspakke.htm

Jeg vil også foreslå, at du læser denne artikel om hvordan du kan undgå at blive inficeret i fremtiden:
http://www.spywarefri.dk/forum/topic.asp?TOPIC_ID=14414

Jeg takker for point, og Gud velsigne dig også :-)